Fai attenzione alle applicazioni web: sono piene di vulnerabilità

Barracuda Networks, azienda specializzata nella cyber resilience, ha scoperto, grazie a una sua recente ricerca, che le applicazioni web hanno in media 20 vulnerabilità di sicurezza. Queste falle potrebbero essere sfruttate dai cybercriminali per rubare dati, compromettere account o ottenere accesso non autorizzato ai sistemi.

Jesus Cordero-Guzman, Director, Solution Architects AppSec, NetSec & XDR International di Barracuda, ha spiegato: ” Una media di 20 vulnerabilità per applicazione significa che gli hacker hanno molteplici opportunità per sondare, testare e sfruttare i punti deboli“.

Sebbene non tutti i problemi siano di per sé critici, gli aggressori spesso concatenano diverse vulnerabilità a basso e medio rischio per esporre informazioni sensibili, rubare credenziali o ottenere accessi non autorizzati.

Le vulnerabilità più diffuse nelle applicazioni web

Nel comunicato stampa ufficiale, Barracuda Networks ha presentato le vulnerabilità che, nel loro insieme, “rappresentano circa il 90% di tutte le criticità individuate” nelle applicazioni web.

• Divulgazione delle informazioni. Rappresenta il 25% delle falle di sicurezza rilevate e si verifica quando  l’applicazione rivela troppe informazioni sui propri sistemi, domini, pagine nascoste, percorsi o servizi. Gli hacker possono sfruttare questi dati per mappare l’ambiente del bersaglio, identificare i punti deboli, scoprire endpoint e aree admin nascoste e pianificare attacchi più mirati senza essere individuati.
• Furto d’identità del brand e spoofing. Ammontano al 23% delle vulnerabilità rilevate. Si tratta di punti deboli che consentono ai cyber aggressori di spacciarsi più facilmente per un brand, un sito web o un dominio affidabile e di indurre gli utenti a condividere credenziali o informazioni sensibili. Gli autori degli attacchi possono poi usare le identità compromesse per clonare pagine web, reindirizzare gli utenti verso siti dannosi, rubare credenziali di accesso o inviare e-mail di phishing credibili sfruttando il nome del marchio.
• Attacchi lato client (sfruttamento del browser). Con il 14% delle falle individuate, queste vulnerabilità riguardano il modo in cui le pagine web visualizzano o eseguono i contenuti, consentendo agli aggressori di eseguire script dannosi nel browser dell’utente. Gli hacker possono sfruttarle per iniettare codice dannoso (Cross-Site Scripting, XSS), ad esempio per rubare i cookie di sessione, alterare i contenuti visibili della pagina, spingere gli utenti a cliccare su pulsanti nascosti o caricare file ingannevoli.
• Esposizione dei dati. Ovvero il 10% delle vulnerabilità di sicurezza rilevate. Si verifica quando informazioni sensibili vengono esposte inutilmente tramite l’applicazione, ad esempio attraverso pagine web, API, log, cookie, script di tracciamento o risposte configurate in modo errato. Gli aggressori possono sfruttarle per raccogliere dati personali, token, contenuti privati, segreti o informazioni aziendali riservate (incluse e-mail e impostazioni di configurazione), per tracciare gli utenti senza il loro consenso e manomettere i controlli di accesso e le policy di conservazione dei dati.
• Crittografia debole o assente, che consente agli aggressori di intercettare o manipolare il traffico (pari al 6% delle vulnerabilità), software obsoleti o configurazioni non sicure(anch’essi al 6%) e vulnerabilità nella gestione delle sessioni utente e nella protezione dei cookie e delle credenziali (5%).